Requisitos de los certificados

Importante:

For details on how to manage certificates post-installation, see Managing certificates.

Automation Suite exige dos certificados en el momento de la instalación.

• Server certificate – required for TLS communication between the client and the cluster;
• Identity token-signing certificate – required to sign the authentication token.

Nota:

El proceso de instalación genera certificados autofirmados en tu nombre, pero recomendamos actualizarlos con certificados firmados por una autoridad de certificación de confianza tan pronto como finalice la instalación.

Importante:

El proceso de instalación genera certificados autofirmados en su nombre. Estos certificados expirarán en 90 días, y deberá sustituirlos por certificados firmados por una autoridad de certificación (AC) de confianza en cuanto finalice la instalación. Si no actualiza los certificados, la instalación dejará de funcionar transcurridos 90 días.

Si instalaste Automation Suite en un host habilitado para FIPS y deseas incorporar tus propios certificados, asegúrate de que sean compatibles con FIPS. Para obtener una lista de cifrados aptos compatibles con RHEL, consulta la documentación de RHEL.

Además de los certificados mencionados, es posible que debas proporcionar certificados de CA de confianza adicionales si quieres que el clúster confíe en el software externo. Ejemplo: certificado de CA de SQL Server, certificado de CA de servidor SMTP, certificado de CA de almacén de objetos externo compatible con S3, etc.

En el momento de la instalación, debe proporcionar certificados de CA para cualquier software externo que requiera una comunicación TLS segura. Sin embargo, si no ha habilitado la comunicación TLS, puede configurarla después de la instalación.

For instructions, see Managing certificates.

Requisitos de certificados del servidor

El certificado del servidor debe cumplir los siguientes requisitos:

• El formato de archivo debe ser .pem, es decir, i.e., certificado DER codificado en Base64;

• La longitud de la clave privada debe ser como mínimo 2048;

• Uso de clave extendido: TLS Web Server Authentication; obligatorio para acceder a Automation Suite en dispositivos iOS;

• La clave del certificado debe descifrarse. Si la clave está cifrada, ejecute el siguiente comando para descifrarla:

  # replace /path/to/encrypted/cert/key to absolute file path of key
  # replace /path/to/decrypt/cert/key to store decrypt key
  # Once prompted, please entry the passphrase or password to decrypt the key
  
  openssl rsa -in /path/to/encrypted/cert/key -out /path/to/decrypt/cert/key
  

• Debe tener nombre alternativo para sujeto para todas las entradas DNS requeridas para instalar Automation Suite. Si el FQDN para el clúster es automationsuite.mycompany.com, el SAN del certificado debe tener el siguiente DNS:

  • automationsuite.mycompany.com

  • *.automationsuite.mycompany.com

    Nota:

    Como alternativa y si el carácter comodín * es demasiado genérico, disponga de entradas SAN para los siguientes DNS:

    • automationsuite.mycompany.com
    • alm.automationsuite.mycompany.com
    • monitoring.automationsuite.mycompany.com
    • registry.automationsuite.mycompany.com
    • objectstore.automationsuite.mycompany.com
    • insights.automationsuite.mycompany.com

Requisitos de certificado activo/pasivo

Si los DNS del clúster principal y secundario de Automation Suite son automationsuite-primary.mycompany.com y automationsuite-secondary.mycompany.com, respectivamente, debes añadir el siguiente DNS como entradas SAN en tu certificado:

• automationsuite-primary.mycompany.com
• alm.automationsuite-primary.mycompany.com
• monitoring.automationsuite-primary.mycompany.com
• registry.automationsuite-primary.mycompany.com
• automationsuite-secondary.mycompany.com
• alm.automationsuite-secondary.mycompany.com
• monitoring.automationsuite-secondary.mycompany.com
• registry.automationsuite-secondary.mycompany.com

Archivos de certificados del servidor

Automation Suite requiere tres archivos en el momento de la instalación, como se indica a continuación:

• Archivo del certificado de servidor / TLS: el archivo del certificado público del servidor. Este archivo debe contener solo el certificado del servidor de la hoja.
• Archivo de la clave del servidor / TLS: el archivo de la clave privada del certificado del servidor.
• Paquete de la autoridad de certificación: es el certificado público de la AC que se utiliza para firmar o emitir el certificado del servidor. Este archivo debe contener tanto el certificado raíz como todos los certificados intermedios si están presentes.

Para verificar el certificado de la CA y del servidor, ejecuta el siguiente comando en la máquina Linux:

# Please replace /path/to/ca-certificate-bundle and /path/to/server-certificate with actual file path.

openssl verify -CAfile /path/to/ca-certificate-bundle /path/to/server-certificate

Certificado de firma del token de identidad

Automation Suite tiene los siguientes requisitos en términos de certificado de firma de tokens en el momento de la instalación:

• El formato del archivo debe ser pkcs12 para firmar el token de autenticación;
• Se requiere una contraseña para firmar el certificado.

Si no se proporciona un certificado de firma del token de identidad, Automation Suite utiliza los certificados del servidor para generar uno en el momento de la instalación.